گزارش‌های اخیر نشان می‌دهد که داده‌های حساس پلیس بریتانیا که در بستر Microsoft Azure میزبانی می‌شوند، با ریسک‌های امنیتی دیرینه‌ای روبرو هستند. بر اساس یک ارزیابی داخلی مربوط به سال ۲۰۱۷، انتقال داده‌های پلیس به فضای ابری مایکروسافت با نگرانی‌های جدی در مورد دسترسی‌های غیرمجاز، به‌ویژه از سوی عوامل خارجی و دولت ایالات متحده، همراه بوده است.
داده‌های در معرض خطر و سطح دسترسی
این داده‌ها شامل سوابق کیفری، اظهارات قربانیان، ایمیل‌های داخلی و اطلاعات مربوط به بیش از ۴۰ نیروی پلیس در بریتانیا است. نکته قابل توجه این است که برخی از این اطلاعات دارای طبقه‌بندی‌های امنیتی بالا (مانند Secret یا Top Secret) هستند. در ارزیابی‌های اولیه، هشدار داده شده بود که آسیب‌پذیری‌های نرم‌افزاری مایکروسافت می‌تواند توسط مجرمان سایبری یا عوامل داخلی دولت آمریکا (US Government Insiders) مورد سوءاستفاده قرار گیرد.
چالش حاکمیت داده‌ها و قانون CLOUD Act
متخصصان امنیت ابری اشاره می‌کنند که حتی با وجود استفاده از رمزنگاری (Encryption)، دسترسی کارکنان مایکروسافت یا دولت آمریکا به داده‌ها به‌طور کامل مسدود نمی‌شود. همچنین، طبق قانون US CLOUD Act، مقامات آمریکایی می‌توانند شرکت‌های مستقر در ایالات متحده را ملزم به ارائه داده‌هایی کنند که تحت کنترل آن‌هاست، حتی اگر این داده‌ها در سرورهای خارج از خاک آمریکا ذخیره شده باشند.
ابهامات در نظارت و شناسایی نشت داده‌ها
یکی از بحرانی‌ترین نقاط این گزارش، عدم قطعیت در شناسایی وقوع نشت داده‌ها است. منابع امنیتی اشاره کرده‌اند که سطح Logging و مانیتورینگ در سیستم‌های ابری فعلی به‌گونه‌ای نیست که بتوان با اطمینان اعلام کرد آیا نفوذی رخ داده است یا خیر. به عبارت دیگر، نبودِ گزارش نشت داده به معنای امن بودن محیط نیست، بلکه نشان‌دهنده احتمال عدم توانایی سیستم‌های نظارتی در شناسایی چنین حملاتی است.
جمع‌بندی فنی برای مدیران امنیت
- Data Sovereignty: تضاد میان ادعاهای پلیس بریتانیا مبنی بر ماندن داده‌ها در خاک این کشور و تأیید مایکروسافت مبنی بر عدم تضمین حاکمیت داده‌ها.
- Visibility Gap: شکاف در قابلیت‌های مانیتورینگ که باعث می‌شود شناسایی Data Breach در محیط‌های Cloud Native دشوار باشد.
- Third-party Risk: ریسک‌های مرتبط با دسترسی‌های سطح بالا (Privileged Access) در ارائه‌دهندگان خدمات ابری.
